PCI DSS 4.0.1 için AKS tarafından düzenlenen küme için gelişmiş çok faktörlü kimlik doğrulaması (MFA)

Bu makalede, Ödeme Kartı Endüstri Veri Güvenliği Standardı (PCI DSS 4.0.1) uyarınca yapılandırılan bir Azure Kubernetes Service (AKS) kümesi için gelişmiş çok faktörlü kimlik doğrulaması (MFA) konuları açıklanmaktadır.

Bu makale bir serinin parçasıdır. girişini okuyun.

PCI DSS 4.0.1, kart sahibi veri ortamına (CDE) ve bulut yönetim erişimine tüm erişim için MFA gereksinimlerini önemli ölçüde genişletir. Bu mimari ve uygulama iş yüküne değil altyapıya odaklanır. Bu makalede tasarım kararları vermenize yardımcı olacak genel noktalar ve en iyi yöntemler sağlanmaktadır. Resmi PCI-DSS 4.0.1 standardında yer alan gereksinimleri takip edin ve bu makaleyi uygun olduğunda ek bilgi olarak kullanın.

Önemli

Kılavuz ve buna eşlik eden uygulama, merkez-uç ağ topolojisini temel alan AKS temel mimarisini temel alır. Merkez sanal ağı çıkış trafiğini denetlemek için güvenlik duvarını, şirket içi ağlardan gelen ağ geçidi trafiğini ve bakım için üçüncü bir ağı içerir. Konuşlanmış sanal ağ, kart sahibi ortamı (CDE) sağlayan ve PCI DSS iş yükünü barındıran AKS kümesini içerir.

GitHub logosu Başvuru Uygulaması Çok Yakında: Düzenlenmiş iş yükleri için Azure Kubernetes Service (AKS) temel kümesi PCI DSS 4.0.1 için başvuru uygulaması şu anda güncelleştirilmekte ve yakında kullanıma sunulacaktır. Bu uygulama, CDE'nizde çeşitli ağ ve güvenlik denetimlerinin kullanımını gösteren düzenlenmiş bir altyapıyı gösterir. Buna hem Azure'a özel ağ denetimleri hem de Kubernetes'e özgü denetimler dahildir. Ayrıca ortam ile örnek iş yükü arasındaki etkileşimleri gösteren bir uygulama da içerir. Bu makalenin odak noktası altyapıdır. Örnek, gerçek bir PCI-DSS 4.0.1 iş yükünü göstermeyecektir.

Kart sahibi verilerine erişimi işletmenin bilmesi gerekenlere göre kısıtlama

Uyarı

Bu makale PCI DSS 4.0.1 için güncelleştirilmiştir. Önemli değişiklikler arasında CDE'ye tüm erişim için genişletilmiş MFA gereksinimleri, bulut yönetim erişimi için gelişmiş kimlik doğrulaması ve ayrıcalıklı erişim için daha güçlü denetimler yer alır. Tüm ayrıntılar ve gelecekteki gereksinimler için resmi PCI DSS 4.0.1 belgelerini gözden geçirmeyi unutmayın.

Gereksinim 8: Sistem bileşenlerine erişimi tanımlama ve kimlik doğrulaması

AKS özellik desteği

AKS, PCI DSS 4.0.1 MFA gereksinimlerini karşılamanıza yardımcı olacak çeşitli özellikler sağlar:

Microsoft Entra Id (Azure AD) tümleştirmesi: Azure AD RBAC aracılığıyla AKS kümesi erişimi için merkezi kimlik yönetimi ve MFA zorlamasını etkinleştirir.
Koşullu erişim ilkeleri: API, CLI ve portal erişimi de dahil olmak üzere AKS kaynaklarına yönelik tüm ayrıcalıklı roller ve erişim yolları için MFA'ya ihtiyacınız olmasını sağlar.
Azure İlkesi: AKS yöneticileri için MFA gereksinimlerini denetlemek ve uygulamak ve uyumluluğu sağlamak için kullanılabilir.
Tıpkı Zamanında (JIT) erişim: Zaman sınırlı ayrıcalıklı erişim için Microsoft Entra Privileged Identity Management (PIM) aracılığıyla desteklenir.
İş yükü kimliği: Kimlik bilgilerini depolamadan AKS'de çalışan uygulamalar için güvenli kimlik doğrulamasını etkinleştirir.

Gereksinim 8.4

CDE'ye tüm erişimler için çok faktörlü kimlik doğrulaması (MFA) uygulanır.

Sorumluluklarınız

Gereksinim	Sorumluluk
Gereksinim 8.4.1	MFA, yönetici erişimi olan personel için CDE'ye konsol dışı tüm erişim için uygulanır.
Gereksinim 8.4.2	MFA, CDE'ye tüm erişim için uygulanır.
Gereksinim 8.4.3	MFA, varlığın ağı dışından gelen ve CDE'ye erişebilen veya etkileyebilecek tüm uzaktan erişimler için uygulanır.

Gereksinim 8.4.1

MFA, yönetici erişimi olan personel için CDE'ye konsol dışı tüm erişim için uygulanır.

Sorumluluklarınız

AKS kümelerinize tüm yönetim erişimi için MFA uygulayın:

Microsoft Entra Id tümleştirmesini etkinleştirme: AKS kümelerini kimlik doğrulaması ve yetkilendirme için Azure AD kullanacak şekilde yapılandırın. Ayrıntılı yönergeler için bkz. AKS'de Azure AD kullanma.
Koşullu Erişim ilkelerini yapılandırma: AKS kaynaklarına erişen tüm yönetim rolleri için MFA gerektiren ilkeler oluşturun. Bkz. Yaygın Koşullu Erişim ilkeleri.
Azure RBAC uygulama: "Azure Kubernetes Service Cluster Admin Rolü" ve "Azure Kubernetes Service RBAC Kümesi Yöneticisi" gibi yerleşik rollerle AKS kaynaklarına erişimi yönetmek için Azure rol tabanlı erişim denetimini kullanın. Daha fazla bilgi için bkz. Kubernetes API'si için Microsoft Entra Id yetkilendirmesini kullanma.
Yönetici erişimini izleme: AKS kümelerine tüm yönetim erişimini izlemek için Azure İzleyici ve Azure AD günlüklerini kullanın.

Uygulama adımları:

AKS kümeniz için Azure AD tümleştirmesini etkinleştirin:

az aks update --resource-group myResourceGroup --name myAKSCluster --enable-aad --aad-admin-group-object-ids <admin-group-object-id>

AKS yöneticileri için MFA gerektiren bir Koşullu Erişim ilkesi oluşturun:
- Azure AD>Güvenliği>Koşullu Erişim'e gidin.
- AKS yönetim rollerine sahip kullanıcıları hedefleyen yeni bir ilke oluşturun.
- Bulut uygulamaları (Azure Kubernetes Service) için koşulları ayarlayın.
- Erişim denetimi önlemi olarak çok faktörlü kimlik doğrulama (MFA) gerektirin.
AKS erişimi için kullanıcılara ve gruplara uygun Azure RBAC rollerini atayın.

Gereksinim 8.4.2

MFA, CDE'ye tüm erişim için uygulanır.

Sorumluluklarınız

MFA gereksinimlerini yalnızca yöneticilere değil, CDE'ye erişen tüm kullanıcılara genişletin:

Kapsamlı Koşullu Erişim ilkelerini yapılandırma: Geliştiriciler ve operasyon personeli dahil olmak üzere AKS kaynaklarına erişen tüm kullanıcılar için MFA gerektiren ilkeler oluşturun.
İş yükü kimliği uygulama: Güvenli kimlik doğrulamasını korurken depolanan kimlik bilgileri gereksinimini ortadan kaldırmak için AKS'de çalışan uygulamalar için iş yükü kimliğini kullanın.
Azure AD gruplarını kullanma: Kullanıcıları uygun Azure AD grupları halinde düzenleyin ve grup düzeyinde MFA gereksinimlerini uygulayın.
Belge erişim desenleri: Tüm erişim desenlerinin belgelerini koruyun ve her biri için MFA'nın uygulandığından emin olun.

Uygulama adımları:

Tüm CDE erişimi için Koşullu Erişim ilkeleri oluşturun:

# Example PowerShell script to create a Conditional Access policy
$policy = @{
    displayName = "Require MFA for AKS CDE Access"
    state = "enabled"
    conditions = @{
        applications = @{
            includeApplications = @("6dae42f8-4368-4678-94ff-3960e28e3630") # Azure Kubernetes Service
        }
        users = @{
            includeGroups = @("your-cde-access-group-id")
        }
    }
    grantControls = @{
        operator = "AND"
        builtInControls = @("mfa")
    }
}

AKS uygulamaları için iş yükü kimliğini yapılandırma:

# Enable workload identity on AKS cluster
az aks update -g myResourceGroup -n myAKSCluster --enable-workload-identity

# Create service account with workload identity
kubectl create serviceaccount myserviceaccount
kubectl annotate serviceaccount myserviceaccount azure.workload.identity/client-id="your-client-id"

Gereksinim 8.4.3

MFA, varlığın ağı dışından gelen ve CDE'ye erişebilen veya etkileyebilecek tüm uzaktan erişimler için uygulanır.

Sorumluluklarınız

AKS kaynaklarına tüm uzaktan erişim için MFA'nın zorunlu kılındığından emin olun:

Konum tabanlı ilkeleri yapılandırma: Güvenilen ağ konumlarının dışından erişim için MFA gerektirmek için Koşullu Erişim'i kullanın.
Cihaz uyumluluğunu uygulama: AKS kaynaklarına uzaktan erişim için yönetilen cihazlar gerektir.
Azure Özel Bağlantı kullanma: Uzaktan erişim vektörlerini sınırlamak için AKS API sunucusu erişimi için özel uç noktaları yapılandırın.
Uzaktan erişimi izleme: Tüm uzaktan erişim girişimleri için günlüğe kaydetme ve izleme işlemleri uygulayın.

Uygulama adımları:

Konum tabanlı Koşullu Erişim ilkelerini yapılandırma:
- Güvenilen ağ aralıkları için Azure AD'de adlandırılmış konumlar tanımlayın.
- Güvenilmeyen konumlardan erişim için MFA gerektiren ilkeler oluşturun.
- AKS ile ilgili tüm bulut uygulamalarına ilkeler uygulayın.

Gelişmiş güvenlik için özel küme yapılandırması uygulayın:

# Create private AKS cluster
az aks create \
  --resource-group myResourceGroup \
  --name myPrivateCluster \
  --enable-private-cluster \
  --enable-aad \
  --aad-admin-group-object-ids <admin-group-object-id>

Güvenli uzaktan erişim için Azure Özel Bağlantı'nın yapılandırılması:

# Enable private endpoint for AKS
az aks update \
  --resource-group myResourceGroup \
  --name myPrivateCluster \
  --enable-private-cluster \
  --private-dns-zone system

Gereksinim 8.5

Çok faktörlü kimlik doğrulaması (MFA) sistemleri, kötüye kullanımı önlemek için yapılandırılır.

Sorumluluklarınız

Gereksinim	Sorumluluk
Gereksinim 8.5.1	MFA sistemleri, erişim verilmeden önce MFA işleminin tamamlanması gerektiği şekilde uygulanır.

Gereksinim 8.5.1

MFA sistemleri, erişim verilmeden önce MFA işleminin tamamlanması gerektiği şekilde uygulanır.

Sorumluluklarınız

Erişim vermeden önce MFA'nın atlanmadığından ve zorunlu kılındığından emin olun:

Oturum denetimlerini yapılandırma: Her oturum için MFA'nın gerekli olduğundan emin olmak için Azure AD oturum denetimlerini kullanın.
Oturum açma sıklığı denetimleri uygulama: İlkeleri uygun aralıklarla yeniden kimlik doğrulaması gerektirecek şekilde yapılandırın.
Kalıcı tarayıcı oturumlarını dikkatli kullanın: Kalıcı tarayıcı oturumlarını sınırlayın ve hassas işlemler için MFA gerektirir.
Atlama girişimlerini izleme: MFA gereksinimlerini atlama girişimleri için izleme uygulayın.

Uygulama adımları:

Koşullu Erişim'de oturum denetimlerini yapılandırma:

{
  "sessionControls": {
    "signInFrequency": {
      "value": 1,
      "type": "hours",
      "isEnabled": true
    },
    "persistentBrowser": {
      "mode": "never",
      "isEnabled": true
    }
  }
}

Anormal erişim desenlerini algılamak ve yanıtlamak için Azure AD Identity Protection'ı kullanın.
Gerçek zamanlı ilke zorlaması için sürekli erişim değerlendirmesi uygulayın.

AKS için ek MFA konuları

Hizmet hesabı ve iş yükü kimlik doğrulaması

Odak kullanıcı kimlik doğrulamasındayken, iş yüklerinin kimlik doğrulamasını göz önünde bulundurun:

İş yükü kimliğini kullanma: Depolanan kimlik bilgilerini ortadan kaldırmak için AKS'de çalışan uygulamalar için Azure AD iş yükü kimliğini uygulayın.
Hizmet hesabı anahtarlarından kaçının: İş yükü kimlik doğrulaması için uzun süreli hizmet hesabı anahtarlarını kullanmayın.
Belirteç döndürmeyi uygulama: İş yükü belirteçlerinin düzenli ve otomatik olarak döndürüldüğünden emin olun.

Acil durum erişim yordamları

MFA uyumluluğunu sağlarken acil durum erişim yordamlarını koruyun:

Cam kıran hesaplar: Uygun izleme ve onay süreçleriyle acil durum erişim hesaplarını yapılandırın.
Acil durum yordamlarını belgeleyin: Acil durum erişim senaryoları için net belgeler sağlayın.
Acil durum yordamlarını test etme: Gerektiğinde çalıştığından emin olmak için acil durum erişim yordamlarını düzenli olarak test edin.

İzleme ve uyumluluk

MFA uyumluluğu için kapsamlı izleme uygulayın:

Azure İzleyici'yi kullanma: Tüm AKS erişiminde MFA başarı ve hata oranlarını izleyin.
Uyarı uygulama: MFA atlama girişimleri veya hataları için uyarılar ayarlayın.
Düzenli erişim gözden geçirmeleri: Kullanıcı erişimini ve MFA uyumluluğunu düzenli olarak gözden geçirme.
Denetim günlükleri: Tüm kimlik doğrulama olaylarının kapsamlı denetim günlüklerini koruyun.

İzleme için uygulama adımları:

MFA raporlaması için Azure İzleyici çalışma kitaplarını yapılandırın:

SigninLogs
| where TimeGenerated > ago(30d)
| where AppDisplayName contains "Azure Kubernetes Service"
| where AuthenticationRequirement == "multiFactorAuthentication"
| summarize MFAAttempts = count(), MFASuccesses = countif(ResultType == 0), MFAFailures = countif(ResultType != 0) by UserPrincipalName
| extend MFASuccessRate = (MFASuccesses * 100.0) / MFAAttempts

MFA uyumluluğu için Azure İzleyici uyarılarını ayarlayın:

{
  "criteria": {
    "allOf": [
      {
        "query": "SigninLogs | where AppDisplayName contains \"Azure Kubernetes Service\" | where AuthenticationRequirement == \"multiFactorAuthentication\" | where ResultType != 0",
        "timeAggregation": "Count",
        "operator": "GreaterThan",
        "threshold": 5
      }
    ]
  },
  "actions": {
    "actionGroups": ["your-action-group-id"]
  }
}

Sonraki Adımlar

Tüm sistemler için kapsamlı kötü amaçlı yazılım koruma denetimleri uygulayın ve virüsten koruma yazılımını veya programlarını düzenli olarak güncelleştirin.

Kötü amaçlı yazılım koruması uygulama

AKS ortamlarında MFA uygulama hakkında daha fazla bilgi için bkz:

PCI DSS 4.0.1 gereksinimleri hakkında daha fazla bilgi için resmi PCI DSS 4.0.1 belgelerini gözden geçirin.

Geri Bildirim

Bu sayfayı yararlı buldunuz mu?

Son güncelleştirme: 2025-08-14

PCI DSS 4.0.1 için AKS tarafından düzenlenen küme için gelişmiş çok faktörlü kimlik doğrulaması (MFA)

Kart sahibi verilerine erişimi işletmenin bilmesi gerekenlere göre kısıtlama

Gereksinim 8: Sistem bileşenlerine erişimi tanımlama ve kimlik doğrulaması

AKS özellik desteği

Gereksinim 8.4

Sorumluluklarınız

Gereksinim 8.4.1

Sorumluluklarınız

Gereksinim 8.4.2

Sorumluluklarınız

Gereksinim 8.4.3

Sorumluluklarınız

Gereksinim 8.5

Sorumluluklarınız

Gereksinim 8.5.1

Sorumluluklarınız

AKS için ek MFA konuları

Hizmet hesabı ve iş yükü kimlik doğrulaması

Acil durum erişim yordamları

İzleme ve uyumluluk

Sonraki Adımlar

İlgili kaynaklar

Geri Bildirim

Ek kaynaklar